Unternehmen begehen zudem einen verhängnisvollen Fehler, wenn sie der Meinung sind, der nachfolgende Passus des Beschlusses würde ihnen gewissermaßen einen Freibrief für Alt-Einwilligungen verschaffen.
Dieser lautet: „Besondere Beachtung verdienen allerdings die folgenden Bedingungen der DSGVO; sind diese Bedingungen nicht erfüllt, gelten bisher erteilte Einwilligungen nicht fort:“
Gemeint sind damit die folgenden Bedingungen: Freiwilligkeit der Einwilligung („Kopplungsverbot“, Art. 7 Abs. 4 i.V.m. Erwägungsgrund 43 DSGVO) und Altersgrenze von 16 Jahren (Art. 8 Abs. 1 i.V.m. mit Erwägungsgrund 38 DSGVO).
Außerdem enthält der Beschluss eine weitere Einschränkung, die in der Verwendung des Adjektivs „besondere“ liegt. Dies bedeutet nicht weniger, als dass auch die übrigen Bedingungen der DSGVO in Bezug auf die Einwilligungserklärungen beachtet werden müssen.
Informationspflichten sind relevant
Auf den ersten Blick scheint der Beschluss wenigstens in einem Punkt Klarheit für die Frage der Wirksamkeit bereits erteilter Einwilligungen zu geben. Dort heißt es: „Informationspflichten nach Art. 13 DSGVO müssen dafür nicht erfüllt sein, da sie keine Bedingungen i.S. des genannten Erwägungsgrundes sind.“
Bei genauerer Ansicht der DSGVO kommen jedoch auch hier Zweifel auf. Denn in Art. 4 Nr. 11 DSGVO wird die Art der wirksamen Einwilligung definiert.
Danach wird voraussetzt, dass der Betroffene „in informierter Weise“ seine Einwilligungserklärung abgibt. Die Informationspflichten nach Art. 13 DSGVO können somit nicht einfach als irrelevant für eine wirksame Einwilligungserklärung eingestuft werden. Der Beschluss prüft die einzelnen Informationspflichten nicht auf ihre Relevanz für die Wirksamkeit der Einwilligung.
Alt-Einwilligungen fehlt es an Rechtsschutz
Außerdem entsteht durch die Annahme, die Informationserteilung sei für diejenigen, die bereits Einwilligungserklärungen abgegeben haben, nicht notwendig, ein unterschiedlicher Rechtsmaßstab für zwei gleich schutzwürdige Personengruppen. Wer bereits eine Einwilligung nach dem alten Recht abgegeben hat, genießt danach weniger Schutz als derjenige, die sie erst unter Geltung der DSGVO abgibt.
Wenn also der Verpflichtete – wie zum Beispiel viele Versicherungsvermittler – erst unter Geltung der DSGVO einen Datenschutzbeauftragten bestellen muss, an den sich der Betroffene wenden kann, erfahren Betroffene mit Alt-Einwilligung hiervon gar nichts.
Denn gemäß Art. 13 Abs. 1 lit. b) DSGVO müssten sie nicht über den Datenschutzbeauftragten informiert werden (entsprechend dem Beschluss des Düsseldorfer Kreises). Folge wäre jedoch, dass Betroffene ihre Rechte gemäß Art. 38 Abs. 4 DSGVO u.U. nicht wahrnehmen können oder dass die Wahrnehmung dieser Rechte zumindest eingeschränkt wäre.
